(57)【要約】【課題】  内部ネットワークの構成を事前に自動調査して最適なシグネチャを設定する。【解決手段】  内部ネットワークに１つ以上の端末を接続し、外部ネットワークからの侵入を検知する侵入検知装置であって、侵入が予測されるシグネチャ情報を記憶するシグネチャ手段と、前記内部ネットワークの構成を検出する内部ネットワーク構成検出手段と、前記シグネチャ手段により記憶されたシグネチャ情報と、前記内部ネットワーク構成検出手段により検出された内部ネットワークの構成とに基づいて、内部ネットワークに対するシグネチャ情報を適切に設定するシグネチャ最適化手段と、前記シグネチャ最適化手段により設定された内部ネットワークに対するシグネチャ情報に基づいて、前記外部ネットワークからの侵入を検知する侵入検知エンジン手段と、前記侵入検知エンジン手段により検知された情報に基づいて対処処理を実行する対処処理手段とを備える。【選択図】          図１
2006004343.tif 000002
【特許請求の範囲】
【請求項１】
内部ネットワークに１つ以上の端末を接続し、外部ネットワークからの侵入を検知する侵入検知装置であって、
侵入が予測されるシグネチャ情報を記憶するシグネチャ手段と、
前記内部ネットワークの構成を検出する内部ネットワーク構成検出手段と、
前記シグネチャ手段により記憶されたシグネチャ情報と、前記内部ネットワーク構成検出手段により検出された内部ネットワークの構成とに基づいて、内部ネットワークに対するシグネチャ情報を適切に設定するシグネチャ最適化手段と、
前記シグネチャ最適化手段により設定された内部ネットワークに対するシグネチャ情報に基づいて、前記外部ネットワークからの侵入を検知する侵入検知エンジン手段と、
前記侵入検知エンジン手段により検知された情報に基づいて対処処理を実行する対処処理手段と
を備えることを特徴とする侵入検知装置。
【請求項２】
パケット処理の要求性能を設定すると共に、設定された前記要求性能と、前記シグネチャ最適化手段により設定された内部ネットワークに対するシグネチャ情報とに基づいて、該内部ネットワーク構成における性能を算出する性能測定手段を備えることを特徴とする請求項１記載の侵入検知装置。
【請求項３】
前記要求性能と、前記内部ネットワーク構成における算出された性能とを比較すると共に、その比較結果に基づいて適切な内部ネットワーク構成を算出する内部ネットワーク最適化手段を備えることを特徴とする請求項２記載の侵入検知装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク上に流れるパケットについて、シグネチャを用いて不正な侵入を検知する侵入検知装置に関するものである。
【背景技術】
【０００２】
例えば、特開2001-350678は従来の侵入検知装置であり、予め必要な検知ルールを設定しておかなければならないという問題を解決するためのもので、転送されたパケット６と検出ルールリストの情報に基づいて、ＩＰアドレステーブル１０と不正侵入判定ルールテーブル１５とを更新し、これらの更新されたテーブルに従って侵入検知を実行することが開示されている。
【０００３】
【特許文献１】特開２００１−３５０６７８公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
従来の侵入検知装置は、テーブルに登録されていないＩＰアドレスのパケットが流れてきた場合に、パケットの宛先サーバで動作しているアプリケーションを調査して検知するルールを設定するものであるが、毎回調査するのに時間がかかり、インライン型の侵入検知装置の場合、パケットの転送が遅くなり過ぎるので実施できないという問題があった。
【０００５】
本発明は、上記のような問題点を解決するためになされたものであり、内部ネットワークの構成を事前に自動調査して最適なシグネチャを設定することを目的とする。
【課題を解決するための手段】
【０００６】
本発明に係る侵入検知装置は、内部ネットワークに１つ以上の端末を接続し、外部ネットワークからの侵入を検知する侵入検知装置であって、侵入が予測されるシグネチャ情報を記憶するシグネチャ手段と、前記内部ネットワークの構成を検出する内部ネットワーク構成検出手段と、前記シグネチャ手段により記憶されたシグネチャ情報と、前記内部ネットワーク構成検出手段により検出された内部ネットワークの構成とに基づいて、内部ネットワークに対するシグネチャ情報を適切に設定するシグネチャ最適化手段と、前記シグネチャ最適化手段により設定された内部ネットワークに対するシグネチャ情報に基づいて、前記外部ネットワークからの侵入を検知する侵入検知エンジン手段と、前記侵入検知エンジン手段により検知された情報に基づいて対処処理を実行する対処処理手段とを備えるものである。
【発明の効果】
【０００７】
以上のように、本発明によれば、容易に最適なシグネチャを設定できるという効果がある。
【発明を実施するための最良の形態】
【０００８】
実施の形態１．
図１は、本発明の構成を示すシステム構成図である。図１において、侵入検知装置１と端末２〜５とが、ユーザ管轄内の内部ネットワーク６で接続されており、侵入検知装置１は、攻撃者が存在するユーザ管轄外の外部ネットワークとも接続されている。また、侵入検知装置１は、受信パケットのフィルタリングを行うフィルタ部１０、内部ネットワーク構成検出部１１とシグネチャ部１２の情報に基づいてシグネチャを最適化するシグネチャ最適化部１３、このシグネチャ最適化部１３からの情報に基づいて侵入を検知する侵入検知エンジン部１４、この侵入検知エンジン部１４からの情報に基づいて対処処理を実行する対処処理部１５を有する。
ここで、シグネチャ部１２のシグネチャの情報と、対処処理部１５のシグネチャに対応する対処処理の情報は、予め登録されているものとする。ここでいう対処処理とは、例えばＴＣＰのリセットを攻撃元の端末に送ったり、送信元のＩＰアドレスをフィルタに設定して、次回のアクセスをできないようにしたりすることである。また、フィルタ部１０のフィルタリング情報も予め設定されているものとする。
【０００９】
また、図１において、ＩＰアドレス１０．１０．０．１サブネットマスク２５５．２５５．２５５．０（以下１０．１０．０．１／２４と記す）の端末２ではＷＷＷサーバが動作している。ＩＰアドレス１０．１０．０．２／２４の端末３ではＭＡＩＬサーバが動作しており、ＩＰアドレス１０．１０．１．１／２４の端末４ではＷＷＷサーバが動作しており、ＩＰアドレス１０．１０．１．２／２４の端末５ではサーバは何も動作していない。
【００１０】
次に、動作について説明する。
図２は、侵入検知装置１の初期設定時の処理フローである。この図２のフローを用いて、初期設定時の動作について説明する。
まず、内部ネットワークとして例えば１０．１０．０．０／１６を予め設定しておく（ステップＳ１１）。
【００１１】
次に、内部ネットワーク構成検出部１１はステップＳ１１で設定された内部ネットワーク内の全ての端末を検索する（ステップＳ１２）。例えば、全ての端末に対してpingを実施し、応答が返ってきたものに対して図３のようなＩＰアドレスリストを作成して保管する。
【００１２】
次に、内部ネットワーク構成検出部１１は、検索した端末の全てのポートに対して、シグネチャ部１２で使用されているサーバアプリケーションが動作しているかの調査を行う（ステップＳ１３）。例えば、全てのポートに対して、シグネチャ部１２で使用されているサーバアプリケーションが動作しているかをクライアントのリクエストを擬似して応答を待って調査し、図４のようなＩＰアドレスとアプリケーション、ポート番号との関連を示すアプリケーションリストを作成する。図４の例では、ＭＡＩＬサーバとＷＷＷサーバがシグネチャ部１２で予め登録されていた場合を示している。シグネチャ部１２でＯＳ等の条件が記述されている場合には、それについても調査する。
【００１３】
次に、シグネチャ最適化部１３は、図４のアプリケーションリストの情報に基づいて、図５のようなネットワークアドレスとシグネチャのルールの種類との関連を示すシグネチャリストを作成する（ステップＳ１４）。
上記図５のようなシグネチャリストの作成は、例えばシグネチャ最適化部１３が定期的に行ったり、ユーザからの指示に基づいて行ったりする。
【００１４】
図６は、侵入検知装置１にパケットが送信されてきた場合の処理を示す処理フローである。この図６のフローを用いて、侵入検知装置１にパケットが送信された場合の動作について説明する。
まず、侵入検知装置１が外部ネットワーク７からパケットを受信する（ステップＳ２１）。
【００１５】
フィルタ部１０は、受信したパケットが予め設定されたフィルタリング条件に一致しているか否かを調べ、一致した場合（ステップＳ２２でＹｅｓ）、受信したパケットを廃棄して処理を終了する（ステップＳ２３）。
【００１６】
受信したパケットがフィルタリング条件に一致しなかった場合（ステップＳ２２でＮｏ）、侵入検知エンジン部１４がシグネチャ解析を行う（ステップＳ２４）。侵入検知エンジン部１４は、受信したパケットが、図５のシグネチャリストに登録されたシグネチャと一致するか否かを調べる。
【００１７】
侵入検索エンジン部１４によるシグネチャ解析の結果、受信したパケットが図５のシグネチャリストに登録されたシグネチャと一致せず、侵入が検知されなかった場合（ステップＳ２５でＮｏ）、受信したパケットの中継処理を行って処理を終了する（ステップＳ２６）。
【００１８】
受信したパケットが図５のシグネチャリストに登録されたシグネチャと一致し、侵入が検知された場合（ステップＳ２５でＹｅｓ）、対処処理部１５に予め登録された対処処理に従って受信パケットを処理して終了する（ステップＳ２７）。
【００１９】
例えば、受信したパケットが端末３へのＷＷＷのリクエストの場合、ＩＰアドレスとポート番号から図５のシグネチャリストにおける一番上の条件に該当するため、ＷＷＷサーバルールと一致するか否かを調べる。一致しなければ、図５のシグネチャリストにおける他のシグネチャと一致するか否かを調べる。図５のシグネチャリストにおける上から３番目の条件は全てに該当するため、その他のルールと一致するか否かを調べる。図５のシグネチャリストに登録されたシグネチャルールのいずれにも一致しなかった場合、受信したパケットを内部ネットワーク６へ中継する。図５のシグネチャリストに登録されたシグネチャルールのいずれかと一致した場合、対処処理部１５に予め登録された対処処理に従って受信パケットを処理する。
【００２０】
以上のように、内部ネットワークの構成を予め調査できる構成としたことにより、容易に最適なシグネチャを設定できる。
また、パケット受信時に送信先の端末にアクセスしてサービスを調査するのではなく、事前に調査することができるため、パケット中継時に時間を要することがなく、インライン型の侵入検知システムにも適用可能である。
【００２１】
また、シグネチャ最適化部１３がシグネチャリストを作成することにより、余計なルールが省かれ、パケット受信時に余計なルールを検索する必要が無くなるため、侵入検知装置の性能を向上させることができる。
【００２２】
また、ユーザのルール設定のし忘れで、セキュリティホールが発生することを防止することができる。
【００２３】
なお、本実施の形態１におけるＩＰアドレスリストやアプリケーションリスト、シグネチャリストは、内部ナットワーク構成検出部１１が格納してもよいし、他の構成が格納するようにしてもよい。
【００２４】
実施の形態２．
上記実施の形態１では、事前に内部ネットワークの構成を調査して、適切なシグネチャを設定するようにしたものであるが、本実施の形態２では、シグネチャを設定した段階で性能をユーザに対して出力する場合について説明する。
図７は、本実施の形態２における構成を示すシステム構成図である。図７における１６は、ユーザにより入力された条件とシグネチャ部で設定されているルールとに基づいて、そのネットワーク構成における性能をユーザに対して出力する性能測定部である。その他図１と同一の符号を付したものは、上記実施の形態１と同様である。
【００２５】
次に動作について説明する。
図８は、本実施の形態２における初期設定時の処理フローである。この図８のフローを用いて、初期設定時の動作について説明する。
【００２６】
図８において、ステップＳ１１〜Ｓ１４における動作は上記実施の形態１と同様のため、説明を省略する。
上記実施の形態１で説明したように、ステップＳ１１〜Ｓ１４における動作により、図５のようなネットワークアドレスとシグネチャのルールの種類との関連を示すシグネチャリストを作成する。
【００２７】
次に、性能測定部１６は、図５のシグネチャリストで示されるネットワークに対して、どれくらいの割合でパケットが侵入検知システム１に流れてくるかの条件（要求性能）を設定する（ステップＳ３５）。
【００２８】
そして、性能測定部１６は、予め測定しておいたシグネチャリストにおけるそれぞれのルールの処理時間と、上記ステップＳ３５で設定した条件とからそのネットワーク構成における性能を算出する（ステップＳ３６）。例えば図５の例では、ＷＷＷサーバルールとＭＡＩＬサーバルールとその他のルールの処理時間に、上記ステップＳ３５で設定された割合を個々にかけて合計することにより、受信パケット一つ当たりの処理時間を算出して外部（ユーザ）に出力する。
侵入検知装置１にパケットが送信された場合の動作については、上記実施の形態１と同様のため、説明は省略する。
【００２９】
以上のように、内部ネットワークの構成を予め調査できる構成とし、その調査したネットワークに対する性能を算出することにより、実際に運用する前に性能面での問題点を抽出することができる。
【００３０】
なお、ステップＳ３５における条件（要求性能）については、性能測定部１６が条件を設定できればよく、条件自体はユーザが入力しても、予めテーブルに記憶しておいても、所定のパラメータに基づいて変更してもよい。
また、設定した条件を記憶するテーブルも、図５のシグネチャリストに記憶してもよいし、別のテーブルを設けて記憶してもよい。
【００３１】
実施の形態３．
上記実施の形態２では、ある設定したシグネチャに対する性能をユーザに対して出力するものであるが、本実施の形態３では、更にネットワーク構成の改善案をユーザに対して出力する場合について説明する。
図９は、本実施の形態３における構成を示すシステム構成図である。図９における１７は、ユーザにより入力された条件を満たすように内部ネットワークの構成を算出する内部ネットワーク最適化部であり、８は端末である。その他図７と同一の符号を付したものは、上記実施の形態２と同様である。
【００３２】
次に動作について説明する。
図１０は、本実施の形態３における初期設定時の処理フローである。この図１０のフローを用いて、初期設定時の動作について説明する。
【００３３】
図１０において、上記実施の形態１と同様に、内部ネットワークとして１０．１０．０．０／１６を予め設定し（ステップＳ１１）、内部ネットワーク構成検出部１１はステップＳ１１で設定された内部ネットワーク内の全ての端末を検索して図１１のようなＩＰアドレスリストを作成し（ステップＳ１２）、内部ネットワーク構成検出部１１は、検索した端末の全てのポートに対して、シグネチャ部１２で使用されているサーバアプリケーションが動作しているかの調査を行って図１２のようなアプリケーションリストを作成し（ステップＳ１３）、内部ネットワーク構成検出部１１は、図１２のアプリケーションリストの情報に基づいて、図１３のようなシグネチャリストを作成する（ステップＳ１４）。
【００３４】
そして、上記実施の形態２と同様に、図１３のシグネチャリストで示されるネットワークに対して、どれくらいの割合でパケットが侵入検知システム１に流れてくるかの条件（要求性能）を設定し（ステップＳ３５）、性能測定部１６は、予め測定しておいたシグネチャリストにおけるそれぞれのルールの処理時間と、上記ステップＳ３５で設定した条件とからそのネットワーク構成における性能を算出する（ステップＳ３６）。
【００３５】
内部ネットワーク最適化部１７は、上記ステップＳ３５で設定した条件と、上記ステップＳ３６で算出した性能とを比較し、上記ステップＳ３６で設定した条件を満たしている場合（ステップＳ４７でＹｅｓ）、そのまま処理を終了する。
【００３６】
上記ステップＳ３６で設定した条件を満たしていない場合（ステップＳ４７でＮｏ）、内部ネットワーク最適化部１７は、ステップＳ３６で設定した条件を満たすネットワーク構成を算出する（ステップＳ４８）。内部ネットワーク最適化部１７は、できるだけ図１３のシグネチャルールで無駄がないように同じアプリケーションルールをまとめるように変更を行う。この場合、図１４のように端末３と端末４のＩＰアドレスを変更することにより、条件を一つ削除できる。内部ネットワーク最適化部１７が算出したネットワーク構成をユーザに対して出力することにより、例えばユーザがネットワーク構成を変更し、ネットワーク構成変更後、ユーザの指示により図２のフローを再度実施する。
侵入検知装置１にパケットが送信された場合の動作については、上記実施の形態１と同様のため、説明は省略する。
【００３７】
以上のように、設定された要求性能を満たすように内部ネットワークの構成を算出することにより、侵入検知装置の性能を向上させることができる。
【００３８】
なお、本実施の形態３では、内部ネットワーク最適化部１７が条件を満たすネットワーク構成を算出後、ユーザに変更後のネットワーク構成を出力して、ユーザがネットワーク構成を変更する場合について説明したが、内部ネットワーク最適化部１７の算出したネットワーク構成に変更できればこれに限られず、ユーザを介することなく、内部ネットワーク最適化部１７によるネットワーク構成の算出結果に基づいてネットワーク構成を変更するようにしても同様の効果を得ることができる。
【図面の簡単な説明】
【００３９】
【図１】実施の形態１における本発明の構成を示すシステム構成図
【図２】実施の形態１における初期設定時の処理フロー
【図３】実施の形態１におけるＩＰアドレスリスト
【図４】実施の形態１におけるアプリケーションリスト
【図５】実施の形態１におけるシグネチャリスト
【図６】実施の形態１における侵入検知装置１にパケットが送信されてきた場合の処理を示す処理フロー
【図７】実施の形態２における本発明の構成を示すシステム構成図
【図８】実施の形態２における初期設定時の処理フロー
【図９】実施の形態３における本発明の構成を示すシステム構成図
【図１０】実施の形態３における初期設定時の処理フロー
【図１１】実施の形態３におけるＩＰアドレスリスト
【図１２】実施の形態３におけるアプリケーションリスト
【図１３】実施の形態３におけるシグネチャリスト
【図１４】実施の形態３における変更後のシグネチャリスト
【符号の説明】
【００４０】
１  侵入検知装置
２、３、４、５、８  端末
６  内部ネットワーク
７  外部ネットワーク
１０  フィルタ部
１１  内部ネットワーク構成検出部
１２  シグネチャ部
１３  シグネチャ最適化部
１４  侵入検知エンジン部
１５  対処処理部
１６  性能測定部
１７  内部ネットワーク最適化部
【図１】
2006004343.tif 000003
【図２】
2006004343.tif 000004
【図３】
2006004343.tif 000005
【図４】
2006004343.tif 000006
【図５】
2006004343.tif 000007
【図６】
2006004343.tif 000008
【図７】
2006004343.tif 000009
【図８】
2006004343.tif 000010
【図９】
2006004343.tif 000011
【図１０】
2006004343.tif 000012
【図１１】
2006004343.tif 000013
【図１２】
2006004343.tif 000014
【図１３】
2006004343.tif 000015
【図１４】
2006004343.tif 000016